Exploração ativa visa falha no Rejetto HFS descoberta pela IA Mythos da Anthropic

Agentes de ameaças começaram a explorar ativamente uma vulnerabilidade crítica no Rejetto HTTP File Server (HFS), um aplicativo de código aberto, para burlar mecanismos de autenticação e executar código arbitrário, segundo relatos da empresa de cibersegurança VulnCheck. Com pontuação de gravidade CVSS de 9,3, a falha é rastreada como CVE-2026-61500 e afeta instalações anteriores do sistema de compartilhamento de arquivos.

Raciocínio de IA descobre fraqueza criptográfica

Pesquisadores da empresa de segurança Horizon3.ai descobriram a vulnerabilidade em junho de 2026 com o auxílio do modelo de IA Mythos, da Anthropic. O Mythos AI aplicou raciocínio matemático para identificar que o gerador de números pseudoaleatórios (PRNG) subjacente do aplicativo produzia saídas reversíveis. Especificamente, o framework web Koa, em Node.js, utilizado dentro do Rejetto HFS, dependia da função Math.random(), que implementava o algoritmo xorshift128+.

Reconstrução da chave de sessão e caminho de execução

Como o Rejetto HFS derivava sua chave de assinatura de cookies de sessão a partir do mesmo gerador não criptográfico e divulgava as saídas do gerador a clientes não autenticados durante tentativas de login, um atacante poderia observar uma pequena sequência de respostas de login para calcular o estado interno do gerador. A reconstrução desse estado permite que os invasores recuperem a chave secreta de assinatura, forjem cookies de sessão administrativos válidos e aproveitem o recurso de configuração server_code para obter a execução remota de código.

Ataques ativos e requisitos de patch

A Rejetto lançou a versão 3.2.1 do HFS em 13 de julho de 2026 para aplicar o patch contra a falha, alertando em seu aviso de segurança que todas as versões anteriores permanecem suscetíveis ao acesso administrativo não autorizado. Em 2 de outubro de 2026, a VulnCheck detectou tentativas ativas de exploração consistindo em varreduras de reconhecimento em pequena escala originadas de um endereço IP da China Telecom e direcionadas a infraestruturas de teste (canary) localizadas nos Estados Unidos e no Japão.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Exploitation Hits Rejetto HFS Vulnerability Discovered by AI